在Go项目中使用XORM连接MySQL启用SSL，需先确认MySQL服务端SSL就绪并配置用户SSL权限，再构造含tls参数的DSN，并在NewEngine前调用mysql.RegisterTLSConfig注册自定义TLS配置，最后通过SQL查询Ssl_cipher验证是否生效。
在Go项目中使用XORM连接MySQL时启用SSL加密传输，必须让XORM底层的database/sql驱动识别并传递SSL配置参数，否则即使MySQL服务端已开启SSL，连接仍走明文通道。
确认MySQL服务端SSL已就绪
执行 SHOW VARIABLES LIKE '%ssl%';，确认 have_ssl 值为 YES，且 ssl_ca、ssl_cert、ssl_key 显示有效路径。若为 DISABLED 或为空，XORM无法建立SSL连接。
检查当前用户是否允许SSL登录：SELECT user, host, ssl_type FROM mysql.user WHERE user = 'your_user';。若 ssl_type 为 ''（空），需先执行 ALTER USER 'your_user'@'%' REQUIRE SSL; 并刷新权限。
构造带SSL参数的DSN字符串
XORM不提供独立SSL开关，所有安全连接控制都依赖DSN（Data Source Name）中的参数拼接。
方法一：强制验证服务端证书（推荐生产环境）
在DSN末尾添加：&tls=custom&ca=/etc/mysql/ssl/ca.pem&cert=/etc/mysql/ssl/client-cert.pem&key=/etc/mysql/ssl/client-key.pem
方法二：仅启用加密但跳过证书校验（仅限测试）
添加：&tls=true —— 此模式下MySQL驱动会使用内置默认CA信任链，但不会校验证书域名和有效期，【存在中间人攻击风险】。
完整DSN示例：user:password@tcp(10.0.1.5:3306)/dbname?charset=utf8mb4&parseTime=True&loc=Local&tls=custom&ca=/etc/mysql/ssl/ca.pem&cert=/etc/mysql/ssl/client-cert.pem&key=/etc/mysql/ssl/client-key.pem
注册自定义TLS配置（关键步骤）
Go的database/sql驱动要求所有非默认TLS配置必须提前注册，否则tls=custom会被忽略。
第一步：导入MySQL驱动并初始化TLS配置import _ "github.com/go-sql-driver/mysql"
第二步：在main函数或初始化逻辑中注册TLS配置块mysql.RegisterTLSConfig("custom", &tls.Config{
RootCAs: x509.NewCertPool(),
InsecureSkipVerify: false,
})
第三步：向RootCAs加载CA证书文件内容caCert, err := os.ReadFile("/etc/mysql/ssl/ca.pem")
if err != nil { panic(err) }
if ok := mysql.RegisterTLSConfig("custom", &tls.Config{
RootCAs: x509.NewCertPool(),
InsecureSkipVerify: false,
}); !ok { panic("failed to register TLS config") }
注意：必须在调用xorm.NewEngine前完成注册，否则连接将回退到非SSL模式。
第四步：加载客户端证书与私钥（双向认证必需）clientCert, err := tls.LoadX509KeyPair("/etc/mysql/ssl/client-cert.pem", "/etc/mysql/ssl/client-key.pem")
if err != nil { panic(err) }
mysql.RegisterTLSConfig("custom", &tls.Config{
RootCAs: rootCAs,
Certificates: []tls.Certificate{clientCert},
InsecureSkipVerify: false,
})
验证SSL连接是否生效
创建Engine后，执行任意查询前，先运行以下SQL语句：SELECT Ssl_cipher, Ssl_version FROM information_schema.PROCESSLIST WHERE ID = CONNECTION_ID();
若返回结果中 Ssl_cipher 非空（如 AES256-SHA），且 Ssl_version 为 TLSv1.2 或更高，则SSL连接已激活。
若返回全NULL，说明XORM仍使用明文连接——请立即检查DSN中tls=参数拼写、证书文件路径是否可读、RegisterTLSConfig是否在Engine初始化前调用。
